أمان Linux المتقدم: دليل شامل لحماية نظامك

يُعدّ الأمان جانبًا حاسمًا في إدارة أنظمة Linux. في هذا الدليل الشامل، سنستعرض تقنيات التأمين المتقدمة لحماية بنيتك التحتية القائمة على Linux.

1. إعداد جدار الحماية

إعداد UFW (Uncomplicated Firewall)

# تفعيل جدار الحماية
sudo ufw enable

# إعداد القواعد الأساسية
sudo ufw default deny incoming
sudo ufw default allow outgoing

# السماح بخدمات محددة
sudo ufw allow ssh
sudo ufw allow http
sudo ufw allow https

# التحقق من القواعد
sudo ufw status verbose

إعداد iptables

# حفظ القواعد الحالية
sudo iptables-save > /etc/iptables.rules

# القواعد الأساسية
sudo iptables -P INPUT DROP
sudo iptables -P FORWARD DROP
sudo iptables -P OUTPUT ACCEPT

# السماح بالحركة المحلية
sudo iptables -A INPUT -i lo -j ACCEPT

# السماح بالاتصالات القائمة
sudo iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

2. تأمين SSH

إعداد sshd

# تحرير ملف الإعداد
sudo nano /etc/ssh/sshd_config

# الإعداد الموصى به
PermitRootLogin no
PasswordAuthentication no
X11Forwarding no
MaxAuthTries 3
LoginGraceTime 60
AllowUsers utilisateur1 utilisateur2

مفاتيح SSH

# توليد المفتاح
ssh-keygen -t ed25519 -C "votre@email.com"

# نسخ المفتاح العام
ssh-copy-id utilisateur@serveur

# إعداد العميل
nano ~/.ssh/config

# المحتوى الموصى به
Host serveur
    HostName serveur.com
    User utilisateur
    IdentityFile ~/.ssh/id_ed25519
    ServerAliveInterval 60

3. إدارة المستخدمين والأذونات

سياسة كلمات المرور

# تثبيت PAM
sudo apt install libpam-pwquality

# الإعداد
sudo nano /etc/security/pwquality.conf

# المعاملات الموصى بها
minlen = 12
dcredit = -1
ucredit = -1
ocredit = -1
lcredit = -1

تدقيق الصلاحيات

# البحث عن ملفات SUID
find / -type f -perm -4000 -ls

# البحث عن ملفات SGID
find / -type f -perm -2000 -ls

# التحقق من الأذونات
ls -la /etc/passwd /etc/shadow

4. المراقبة وكشف التسلل

تثبيت Fail2ban

# التثبيت
sudo apt install fail2ban

# الإعداد
sudo nano /etc/fail2ban/jail.local

# الإعداد الموصى به
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 3

[sshd]
enabled = true
port = ssh
filter = sshd
logpath = /var/log/auth.log

إعداد Logwatch

# التثبيت
sudo apt install logwatch

# الإعداد
sudo nano /etc/logwatch/conf/logwatch.conf

# المعاملات الموصى بها
Output = mail
Format = html
MailTo = admin@example.com

5. تأمين الخدمات

إعداد SELinux

# التثبيت
sudo apt install selinux-basics selinux-policy-default

# التفعيل
sudo selinux-activate

# إعداد الوضع
sudo nano /etc/selinux/config

# الوضع الموصى به
SELINUX=enforcing
SELINUXTYPE=default

AppArmor

# التثبيت
sudo apt install apparmor apparmor-utils

# التفعيل
sudo systemctl enable apparmor
sudo systemctl start apparmor

# إعداد الملفات التعريفية (profiles)
sudo aa-status

6. تأمين نظام الملفات

التركيب الآمن (Mount)

# تحرير ملف fstab
sudo nano /etc/fstab

# الخيارات الموصى بها
/dev/sda1 / ext4 defaults,noexec,nodev,nosuid 0 1
/dev/sda2 /home ext4 defaults,nodev,nosuid 0 2

إعداد الحصص (Quotas)

# التثبيت
sudo apt install quota

# الإعداد
sudo quotacheck -cugm /
sudo quotaon -v /

# تحرير الحصص
sudo edquota -u utilisateur

7. النسخ الاحتياطي والاستعادة

إعداد النسخ الاحتياطي

# سكربت النسخ الاحتياطي
#!/bin/bash
BACKUP_DIR="/backup"
DATE=$(date +%Y%m%d)
tar -czf $BACKUP_DIR/backup_$DATE.tar.gz /etc /home /var/www

جدولة النسخ الاحتياطية

# تحرير crontab
sudo crontab -e

# مهمة يومية
0 2 * * * /usr/local/bin/backup.sh

8. التدقيق الأمني

أدوات التدقيق

# تثبيت Lynis
sudo apt install lynis

# تنفيذ التدقيق
sudo lynis audit system

# تثبيت rkhunter
sudo apt install rkhunter

# الإعداد والفحص
sudo rkhunter --update
sudo rkhunter --check

مراقبة السجلات

# تثبيت logwatch
sudo apt install logwatch

# الإعداد
sudo nano /etc/logwatch/conf/logwatch.conf

# جدولة التقارير
sudo crontab -e
0 7 * * * /usr/sbin/logwatch --mailto admin@example.com --output mail --format html

9. تأمين الشبكة

إعداد TCP Wrappers

# تحرير ملفات الإعداد
sudo nano /etc/hosts.allow
sudo nano /etc/hosts.deny

# القواعد الموصى بها
# /etc/hosts.deny
ALL: ALL

# /etc/hosts.allow
sshd: 192.168.1.0/24

إعداد SSL/TLS

# تثبيت Certbot
sudo apt install certbot python3-certbot-nginx

# الحصول على شهادة
sudo certbot --nginx -d example.com

الخلاصة

أمان Linux عملية مستمرة تتطلب:

• مراقبة دائمة
• تحديثات منتظمة
• إعدادًا مناسبًا
• توثيقًا مفصلًا

ولا تنسَ أن الأمان نهج متعدد الطبقات. اجمع بين هذه التقنيات لبناء دفاع متين ضد التهديدات.